악성 BPF 필터 분석, 이제 몇 초 만에!

Z3는 BPF 명령어(Instruction)를 분석하여 조건(Condition)을 추출하고, 이를 기반으로 패킷의 구조적 제약 조건(Structural Constraints)을 정의

최단 경로(Shortest Path) 계산 알고리즘을 통해, 가장 적은 조건(Condition)을 만족하는 패킷을 생성

생성된 패킷은 Scapy를 사용하여 실제 네트워크 패킷(Network Packet)으로 변환되어, 악성코드(Malware)의 동작을 검증

BPFDoor는 특정 포트(Port)를 열지 않고도 모든 수신 트래픽(Incoming Traffic)을 감시하며, 은밀한 통신 채널(Stealthy Communication Channel)을 구축

분석 도구는 BPF 명령어(Instruction)를 해석하고, 조건(Condition)을 만족하는 패킷(Packet)을 생성하여 BPFDoor의 동작을 트리거(Trigger)

분석 결과, IPv6, UDP, DNS 프로토콜(Protocol)을 사용하는 패킷을 식별하고, 특정 오프셋(Offset)과 값을 갖는 바이트(Byte)를 찾아냄

최단 경로(Shortest Path) 계산 알고리즘을 사용하여, BPF 명령어(Instruction)의 조건(Condition)을 분석하고, 트리거 패킷(Trigger Packet)을 생성

Scapy를 활용하여 생성된 패킷을 실제 네트워크 패킷(Network Packet)으로 변환

분석 결과, 패킷의 구조와 값을 시각적으로 표현하여, 분석의 편의성(Analysis Convenience)을 높임

BPF는 커널 공간(Kernel Space)에서 실행되므로, 탐지가 어렵고 우회(Evasion)가 용이

자동화된 분석 도구(Automated Analysis Tool)는 BPF 기반 악성코드(Malware)의 분석 시간을 단축하고, 대응(Response) 속도를 향상

오픈 소스(Open Source) 도구 공개를 통해, 보안 연구 커뮤니티(Security Research Community)의 악성코드 분석 역량(Malware Analysis Capability) 강화에 기여